Dokumentacji medycznej co do zasady nie usuwasz, nawet gdy pacjent żąda tego po wycieku danych z MyDr, Medyc czy innego systemu. Przechowujesz ją przez 20 lat od końca roku kalendarzowego, w którym dokonano ostatniego wpisu (art. 29 ust. 1 ustawy o prawach pacjenta i Rzeczniku Praw Pacjenta). RODO nie przyznaje prawa do usunięcia danych, które musisz przechowywać z mocy prawa (art. 17 ust. 3 lit. b RODO). Dane spoza dokumentacji, na przykład adres e-mail do newslettera, usuwasz, jeśli nie masz innej podstawy, żeby je przetwarzać. Na żądanie odpowiadasz w ciągu miesiąca, licząc od jego otrzymania (art. 12 ust. 3 i 4 RODO).
Co mówi art. 17 RODO i gdzie są wyjątki
Prawo do usunięcia danych, nazywane też prawem do bycia zapomnianym, przysługuje pacjentowi w sześciu sytuacjach z art. 17 ust. 1 RODO: dane przestały być potrzebne do celu, w którym je zebrałeś, pacjent cofnął zgodę, na której opierało się przetwarzanie, pacjent skutecznie sprzeciwił się przetwarzaniu, dane przetwarzano niezgodnie z prawem, trzeba je usunąć, żeby wykonać obowiązek prawny, albo zebrałeś je w związku z usługą społeczeństwa informacyjnego oferowaną dziecku.
Dokumentację medyczną prowadzisz jednak nie na podstawie zgody, tylko dlatego, że nakazuje Ci to prawo: art. 24 ustawy o prawach pacjenta zobowiązuje Cię do jej prowadzenia, a art. 9 ust. 2 lit. h RODO dopuszcza przetwarzanie danych o zdrowiu w celach opieki zdrowotnej. Nawet gdyby jedna z sześciu przesłanek z ust. 1 teoretycznie wystąpiła, art. 17 ust. 3 RODO wyłącza obowiązek usunięcia w zakresie, w jakim przetwarzanie jest niezbędne. Przy żądaniu usunięcia dokumentacji powołasz się zwykle na dwa wyjątki:
- lit. b: przetwarzanie niezbędne do wywiązania się z prawnego obowiązku wymagającego przetwarzania na mocy prawa Unii lub prawa państwa członkowskiego, któremu podlegasz jako administrator. Obowiązek przechowywania dokumentacji przez 20 lat z art. 29 ustawy o prawach pacjenta jest właśnie takim obowiązkiem;
- lit. e: przetwarzanie niezbędne do ustalenia, dochodzenia lub obrony roszczeń. Gdy pacjent zapowiada pozew albo już go złożył, możesz zatrzymać dane potrzebne do Twojej obrony, nawet te, które nie są częścią dokumentacji w ścisłym sensie.
Wyjątki z art. 17 ust. 3 działają z mocy samego przepisu, bez decyzji UODO ani sądu. W odpowiedzi wskazujesz pacjentowi, który z nich stosujesz.
Jakie dane zostają, a jakie usuwasz?
Żądanie usunięcia danych dotyczy zwykle więcej niż samej dokumentacji medycznej. Placówka gromadzi też dane, które nie są jej częścią: adres e-mail do newslettera, dane z formularza kontaktowego na stronie, historię logowań do konta w portalu pacjenta czy zgody marketingowe. Każdą z tych kategorii oceniasz osobno, bo każda ma inną podstawę prawną przetwarzania.
| Rodzaj danych | Usuwasz czy zatrzymujesz | Podstawa |
|---|---|---|
| Dokumentacja medyczna (historia choroby, wyniki badań, zlecenia) | Zatrzymujesz do końca ustawowego okresu przechowywania | art. 29 u.p.p., art. 17 ust. 3 lit. b RODO |
| Dane potrzebne do obrony przed roszczeniem pacjenta | Zatrzymujesz, dopóki roszczenie się nie przedawni albo sprawa się nie zakończy | art. 17 ust. 3 lit. e RODO |
| Adres e-mail do newslettera | Usuwasz: żądanie usunięcia traktujesz jak cofnięcie zgody na newsletter, chyba że masz inną podstawę | art. 17 ust. 1 lit. b RODO |
| Dane z formularza kontaktowego na stronie | Usuwasz, gdy sprawa, w związku z którą pacjent pisał, jest zakończona i nie potrzebujesz ich do obrony | art. 17 ust. 1 lit. a RODO |
| Konto w portalu pacjenta (login, dane kontaktowe do konta) | Po ocenie podstaw usuwasz zbędne dane konta albo zlecasz to dostawcy; zachowujesz dane niezbędne do obrony (np. logi) i dokumentację | art. 17 ust. 1 lit. a, art. 28 ust. 3 RODO; dla logów art. 17 ust. 3 lit. e; dla dokumentacji art. 17 ust. 3 lit. b |
Żądanie, które obejmuje kilka kategorii naraz, wymaga osobnej odpowiedzi dla każdej z nich. Odmowa co do dokumentacji nie zwalnia Cię z usunięcia danych z formularza kontaktowego, jeśli nie masz podstawy, żeby je zatrzymać.
Dłuższe i krótsze okresy przechowywania
Dwadzieścia lat to zasada z art. 29 ust. 1 ustawy o prawach pacjenta, ale ustęp ten przewiduje pięć wyjątków (pkt 1, 1a, 2, 3 i 4), które wydłużają albo skracają ten termin. Aktualne brzmienie (tekst jednolity Dz.U. 2024 poz. 581) wygląda tak.
| Rodzaj dokumentacji | Okres przechowywania | Podstawa |
|---|---|---|
| Dokumentacja ogólna | 20 lat od końca roku ostatniego wpisu | art. 29 ust. 1 |
| Zgon pacjenta na skutek uszkodzenia ciała lub zatrucia | 30 lat od końca roku, w którym nastąpił zgon | art. 29 ust. 1 pkt 1 |
| Dane niezbędne do monitorowania losów krwi i jej składników | 30 lat od końca roku ostatniego wpisu | art. 29 ust. 1 pkt 1a |
| Zdjęcia rentgenowskie przechowywane poza dokumentacją pacjenta | 10 lat od końca roku wykonania zdjęcia | art. 29 ust. 1 pkt 2 |
| Skierowania i zlecenia lekarza, gdy świadczenie udzielono | 5 lat od końca roku udzielenia świadczenia | art. 29 ust. 1 pkt 3 lit. a |
| Skierowania, gdy pacjent nie zgłosił się w terminie i go nie odebrał | 2 lata od końca roku wystawienia skierowania | art. 29 ust. 1 pkt 3 lit. b |
| Dokumentacja dzieci do ukończenia 2. roku życia | 22 lata | art. 29 ust. 1 pkt 4 |
Po upływie odpowiedniego okresu niszczysz dokumentację w sposób uniemożliwiający identyfikację pacjenta. Zamiast ją zniszczyć, możesz ją wydać pacjentowi, jego przedstawicielowi ustawowemu albo osobie przez niego upoważnionej (art. 29 ust. 2). To nie jest usunięcie na żądanie z RODO, tylko osobna procedura z ustawy o prawach pacjenta, którą stosujesz dopiero po upływie terminu.
Ile masz czasu na odpowiedź i co w niej napisać?
Na żądanie odpowiadasz bez zbędnej zwłoki, najpóźniej w ciągu miesiąca od jego otrzymania (art. 12 ust. 3 RODO). Termin możesz przedłużyć o kolejne dwa miesiące, jeśli żądanie jest skomplikowane albo dostałeś ich wiele naraz, ale o przedłużeniu i jego przyczynach musisz poinformować pacjenta w ciągu tego pierwszego miesiąca.
Gdy odmawiasz usunięcia całości albo części danych, art. 12 ust. 4 RODO nakazuje Ci, najpóźniej w ciągu miesiąca, poinformować pacjenta o powodach odmowy oraz o możliwości wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych i skorzystania ze środków ochrony prawnej przed sądem. Odpowiedź bez tego pouczenia jest niepełna, nawet jeśli merytorycznie odmowa jest zasadna.
Odpowiedź na żądanie usunięcia dokumentacji powinna wskazywać wprost: który przepis nakazuje Ci ją przechowywać (art. 29 u.p.p.), który wyjątek z art. 17 ust. 3 RODO na tej podstawie stosujesz, od kiedy liczy się okres przechowywania (koniec roku ostatniego wpisu), oraz pouczenie o skardze do UODO i drodze sądowej. Jeśli część żądania dotyczy danych spoza dokumentacji, które usuwasz, napisz to w tej samej odpowiedzi.
Konto pacjenta w systemie dostawcy
Żądanie usunięcia danych po wycieku często dotyczy nie tylko dokumentacji, ale też konta w portalu pacjenta. Konto i dokumentacja to dwie różne rzeczy, choć technicznie działają w jednym systemie.
Kto odpowiada za samo konto, zależy od tego, kto jest administratorem jego danych, a tego przepisy o dokumentacji medycznej nie rozstrzygają. Jeśli konto działa w Twoim imieniu na podstawie umowy powierzenia, usunięcie zlecasz dostawcy (art. 28 ust. 3 RODO). Jeśli pacjent założył je u dostawcy na jego regulaminie, dostawca może być odrębnym administratorem, a wtedy żądanie co do konta kierujesz do niego i informujesz o tym pacjenta. To nasza wykładnia: rozstrzyga umowa z dostawcą i rzeczywisty sposób przetwarzania, tak samo jak przy ocenie, kto odpowiada za wyciek u dostawcy.
Zanim usuniesz konto albo zlecisz jego usunięcie, uważaj na dane, które pokazują przebieg wycieku: historię logowań, daty zmian hasła, powiadomienia wysłane pacjentowi. Jeśli pacjent żąda odszkodowania albo zapowiada pozew, możesz te dane zatrzymać do obrony przed roszczeniem (art. 17 ust. 3 lit. e RODO). Sama skarga do UODO nie jest roszczeniem w rozumieniu tego przepisu, ale część tych danych może wchodzić do dokumentacji naruszenia, którą prowadzisz na podstawie art. 33 ust. 5 RODO. Dokumentacja medyczna powiązana z kontem to osobna kategoria danych: podlega okresowi z art. 29 u.p.p. niezależnie od tego, czy konto w portalu zostanie zamknięte.
Jeśli po wycieku dostałeś pismo, które łączy żądanie usunięcia danych z żądaniem zapłaty, sprawdź, jak odpowiedzieć na wezwanie do zapłaty i co zrobić w pierwsze 72 godziny po wycieku. Podstawy RODO dla całej placówki opisujemy w artykule o RODO w gabinecie lekarskim. Jeśli żądanie usunięcia przyszło razem z wezwaniem do zapłaty albo skargą do UODO, przekaż nam prowadzenie całej sprawy: od żądań pacjenta, przez postępowanie w UODO, po rozliczenie z dostawcą. Bieżącą zgodność placówki z RODO prowadzimy w ramach obsługi RODO i cyberbezpieczeństwa.